DE19633952A1

DE19633952A1 - Elektronische Steuerung mit Fehlerdiagnosefunktion

Info

Publication number: DE19633952A1
Application number: DE19633952A
Authority: DE
Inventors: Hideki Kabune; Hajime Kumabe
Original assignee: NipponDenso Co Ltd
Current assignee: Denso Corp
Priority date: 1995-08-25
Filing date: 1996-08-22
Publication date: 1997-02-27
Anticipated expiration: 2016-08-23
Also published as: JPH09123894A; JP3752022B2; US5897596A; DE19633952B4

Description

Elektronische Steuerung mit Fehlerdiagnosefunktion

Die vorliegende Erfindung bezieht sich auf eine elek tronische Steuerung, wie sie hauptsächlich in einem Kraft fahrzeugsteuersystem verwendet wird, und insbesondere auf eine Folgeschaden-Vorkehrungsfunktion bzw. Fail-Safe-Funk tion für eine elektronische Steuerung mit der Möglichkeit einer Fehlerdiagnose, die in einer oder mehreren integrier ten Schaltungen aufgebaut ist sowie für ein mit einer der artigen elektronischen Steuerung bestücktes System.

In Kraftfahrzeugen werden beispielsweise für Anti blockiersteuersysteme (nachfolgend als ABS-Systeme bezeich net) und Traktionssteuersysteme (nachfolgend als TRC-Sy steme bezeichnet) elektronische Steuereinheiten (nachfolgend als ECU bezeichnet) verwendet. Ein kritischer Punkt bei diesen Systemen und den in diesen Systemen ver wendeten ECUs ist eine Folgeschaden-Vorkehrung bzw. eine Fail-Safe-Vorkehrung zum Sicherstellen der Sicherheit des Kraftfahrzeugs.

Wenn beispielweise die ECU eines ABS-Systems ausfällt, muß unverzüglich die herkömmliche Funktion der Fußbremse wieder hergestellt werden. Wie in Fig. 3 dargestellt, be sitzt die ECU für diese Schaltoperation, die sicherheits halber stattfindet, wenn die ECU ausfällt, überlicherweise ein Fail-Safe-Relais 54 sowie eine dazugehörige Relaisan steuerschaltung 52, eine Intra-ECU-Leistungsschaltung 42, eine zentrale Verarbeitungseinheit bzw. Zentraleinheit (CPU) 49 sowie eine Ansteuerschaltung 51 für die Betäti gungsvorrichtung bzw. das Stellglied 53.

Die CPU 49 wird zum Datenverarbeiten bei der Durchfüh rung einer ABS-Operation verwendet. Das Fail-Safe-Relais 54 wird betätigt, wenn auf der Grundlage eines gegenseitigen Überwachens der CPUs des Steuersystems eine Abnormität in der ECU festgestellt wird, wobei die Überwachung eine Über prüfung des Nur-Lese-Speichers (ROMs), eine Überprüfung des Schreib-Lese-Speichers (RAMs), eine Sprung-Routinen-Über prüfung der gegenseitigen Kommunikationsleitungen oder eine Überprüfung auf der Grundlage der Überwachung des Watchdog- Impulses durch die Überwachungsschaltung 47 aufweist, wie sie aus dem Stand der Technik bekannt sind.

Mehrstufen-Intervalle zwischen dem Empfangen und dem Übertragen der Watchdog-Impulssignale ermöglichen die Er fassung einer laufenden Sprungüberwachung und die Entschei dung hinsichtlich von Abnormitäten bzw. Störungen wie bei spielsweise eines Routinen- bzw. Programmsprungs und Leer laufberechnungen bzw. einem Absturz in der CPU 49.

Die Iritra-ECU-Spannungsversorgungsschaltung 42, die die Versorgungsspannung der Batterie 41 stabilisiert, die Aus gangsüberstrom-Begrenzerschaltung 43, die IC-Überhitzungs- Schutzschaltung 44, die IC-Überspannungs-Schutzschaltung 45, die Ausgangsspannungsversorgungs-Steuerschaltung 46, die Watchdog-Impuls-Überwachungsschaltung 47 und die CPU- Rücksetzschaltung 48 werden überlicherweise in einem IC-Ge häuse integriert. Die CPU 49, die Sensorsignal-Verarbei tungsschaltung 50, die Stellglied-Treiberschaltung 51 und die Fail-Safe-Relais-Ansteuerschaltung 52 werden überli cherweise in einzelnen IC-Gehäusen aufgebaut.

Die neuesten Hochleistungs-ECUs weisen jedoch eine er höhte Komplexität und Integration der internen Schaltungs anordnung auf, weshalb die vorherstehend beschriebene ECU- Diagnose, die auf der gegenseitigen CPU-Überwachung oder der Überwachung des Watchdog-Impulses beruht, in ihrer Fä higkeit begrenzt ist, Störungen bzw. Abnormitäten nur noch bei Schaltungen zu erfassen, die Watchdog-Impulse oder der gleichen erzeugen. Aus diesem Grunde deckt die ECU-Diagnose nur wichtige Schaltungsteile ab, weshalb sie nicht in der Lage ist ein Auftreten einer Abnormität beispielsweise in der Stellglied-Ansteuerschaltung 51 genau bzw. exakt zu er fassen, die das Stellglied bzw. die Betätigungsvorrichtung des Antiblockiersystems oder dergleichen in Abhängigkeit vom CPU-Ausgangssignal aktiviert. Gleiches gilt für eine Sensorsignal-Verarbeitungsschaltung, die das Sensoraus gangssignal an die CPU liefert.

Demzufolge liegt der Erfindung die Aufgabe zugrunde ei ne elektronische Steuerung mit Fehlerdiagnosefunktion zu schaffen, die einen einfachen Aufbau aufweist und das Auf treten von Abnormitäten bzw. Störungen, wie einer Abnormi tät der Stellglied-Ansteuerschaltung, zuverlässig und genau in der ECU erfaßt, was in der Vergangenheit schwierig war.

Darüber hinaus liegt der Erfindung die Aufgabe zugrunde eine elektronische Steuerung mit Fehlerdiagnosefunktion zu schaffen, die das Auftreten einer Abnormität in zumindest einer der Schaltungen erfassen kann, die von der internen Spannungsversorgungs-Stabilisierungsschaltung innerhalb der ECU derart mit Spannung versorgt werden, daß das Auftreten einer Abnormität bzw. Störung für eine erhöhte Anzahl von überwachten Punkten sehr genau erfaßt wird, die auch die Stellglied-Ansteuerschaltung, die Sensorsignalverarbei tungsschaltung und die CPU beinhaltet, ohne dabei eine er höhte Anzahl von Überwachungsschaltungen zu benötigen.

Gemäß einem ersten Teilaspekt der vorliegenden Erfin dung werden die vorherstehend genannten Aufgaben durch eine elektronische Steuerung mit Fehlerdiagnosefunktion gelöst, bestehend aus einer Ansteuerschaltung zum Ansteuern des Stellgliedes; einer internen Spannungsversorgungs-Stabili sierungsschaltung zum Stabilisieren der von einer externen Spannungsversorgungsquelle erhaltenen Spannungsversorgung und zum Zuführen der stabilisierten Spannungsversorgung an die Ansteuerschaltung; einer Überwachungsvorrichtung zum Überwachen eines Operationszustandes der Ansteuerschaltung auf der Grundlage eines Zustandes des Spannungsversorgungs- Ausgangssignals der internen Spannungsversorgungs-Stabili sierungsschaltung und zum Erfassen eines vorbestimmten Ope rationszustands der Ansteuerschaltung; und einer Bestim mungsvorrichtung zum Bestimmen eines Auftretens einer Ab normität in der Ansteuerschaltung in Abhängigkeit von der Erfassung eines vorbestimmten Operationszustandes durch die Überwachungsvorrichtung.

Der Spannungsversorgungs-Ausgangszustand der internen Spannungsversorgungs-Stabilisierungsschaltung gibt den Ar beitszustand der Ansteuerschaltung an, die mit Spannung von der Spannungsversorgungs-Stabilisierungsschaltung versorgt wird, sowie den Zustand der Verdrahtung, die die Ansteuer schaltung mit der Spannungsversorgungs-Stabilisierungs schaltung verbindet. Wenn beispielsweise in der Verdrahtung der Ansteuerschaltung ein Kurzschluß auftritt oder die An steuerschaltung außer Kontrolle gerät, tritt im Ausgangssi gnal der internen Spannungsversorgungs-Stabilisierungs schaltung ein deutlicher Anstieg auf, wobei diese Abnormi täten bzw. Störungen sehr genau durch Überwachung des Span nungsversorgungs-Ausgangszustandes erfaßt werden können.

Gemäß einem weiteren Teilaspekt der vorliegenden Erfin dung können die vorherstehend beschriebenen Aufgaben derart gelöst werden, daß eine Vielzahl von Ansteuerschaltungen zum Ansteuern der Stellglieder, eine Fail-Safe-Schaltung, die die Arbeitsweise des gesamten Systems einschließlich der elektronischen Steuerung und der Stellglieder auf eine sichere Seite umschaltet, eine interne Spannungsversor gungs-Stabilisierungsschaltung, die den Ansteuerschaltungen eine stabilisierte Spannungsversorgung zuführt, eine Über wachungseinheit, die die Arbeitszustände der Ansteuerschal tungen auf der Grundlage des Zustands des Spannungsversor gungsausgangs der Spannungsversorgungs-Stabilisierungs schaltung überwacht, und eine Ansteuereinheit vorgesehen wird, die die Fail-Safe-Schaltung in Abhängigkeit vom Er fassen des Auftretens einer Abnormität in zumindest einer der Ansteuerschaltungen durch die Überwachungseinheit an steuert.

Ferner werden gemäß einem weiteren Teilaspekt der vor liegenden Erfindung die vorherstehend beschriebenen Aufga ben durch Vorsehen eines Stellgliedes gelöst, das aus einer Bremssteuerung eines Kraftfahrzeugbremssystems besteht, wo durch in einem geregelten Bremsmodus eine Bremsregelung im plementiert wird, die vom Betriebszustand des Kraftfahr zeugkörpers oder der Räder des Kraftfahrzeugs abhängt, an stelle eines normalen Bremsmodus, wobei eine Fail-Safe-Re lais-Ansteuerschaltung den geregelten Bremsmodus in einen normalen Bremsmodus in Abhängigkeit von der Betätigung der Fail-Safe-Relais-Ansteuerschaltung umschaltet.

Demzufolge wird mit einer elektronischen Steuerung, die eine Fehlerdiagnosefunktion auf die ECU eines Kraftfahr zeugbremssystems anwendet, erfindungsgemäß das Fail-Safe- Relais auf einfache Weise betrieben, wodurch der normale Bremsmodus für den Fall des Auftretens einer Abnormität in der ECU wieder hergestellt wird und die Sicherheit bzw. das sichere Funktionieren des Bremssystems auf einfache und zu verlässige Weise sichergestellt wird.

Die Erfindung wird nachstehend anhand von Ausführungs beispielen unter Bezugnahme auf die Zeichnungen näher be schrieben.

Es zeigen:

Fig. 1 ein Blockschaltbild der erfindungsgemäßen ECU;

Fig. 2A eine graphische Darstellung des zu überwachen den Watchdog-Impulses, sowie Fig. 2B eine Darstellung der Bereiche der Überwachungserfassungswerte; und

Fig. 3 ein Blockschaltbild einer ECU gemäß dem Stand der Technik.

Die Fig. 1 zeigt eine elektronische Steuereinheit bzw. ECU 100 mit Fehlerdiagnosefunktion gemäß einem bevorzugten Ausführungsbeispiel der vorliegenden Erfindung, wie sie in einem Bremsregelsystem eines Kraftfahrzeugs verwendet wird.

Das Kraftfahrzeug-Bremsregelsystem besitzt die ECU 100, eine Batterie B, ein Fail-Safe-Relais 23, einen Sensor 28 und eine Betätigungseinrichtung bzw. ein Stellglied 26, das ein Spulenventil einer Flüssigkeitspumpe in einem Anti blockierregelmechanismus darstellt.

Eine Intra-ECU-Spannungsversorgungsschaltung 11 liefert den internen Schaltungen eine stabilisierte Spannungsver sorgung, die eine Signal-I/O-Schaltung 27 zum Empfangen ei nes Signals von einem Sensor 28, eine CPU 24 und eine Stellglied-Ansteuerschaltung 25 aufweisen. Darüber hinaus besteht die ECU 100 aus einer Stromversorgungs-Überwa chungsschaltung 12, einer Spannungsversorgungs-Überwa chungsschaltung 13, einer IC-Überhitzungs-Überwachungs schaltung 14, und einer Batteriespannung-Überwachungsschal tung 15, welche die der ECU zugeführte Batteriespannung überwacht, um eine Abnormität der Batterie B zu erfassen.

Die Stromversorgungs-Überwachungsschaltung 12 überwacht den gesamten Laststrom der ECU 100, d. h. die Summe der Lastströme der Schaltungen in der ECU 100, wodurch eine deutliche Änderung im Laststrom erfaßt wird, die einen Feh ler, einen Zusammenbruch oder einen Kurzschluß in der Ver drahtung von zumindest einer der Schaltungen in der ECU an zeigt, die von der Spannungsversorgung der Intra-ECU-Span nungsversorgungsschaltung 11 versorgt werden. Dies bedeutet daß die Stromversorgungs-Überwachungsschaltung 12 den ge samten Laststrom der Schaltungen überwacht, die ihre Strom versorgung von der Intra-ECU-Spannungsversorgungsschaltung 11 erhalten. Die Stromversorgungs-Überwachungsschaltung 12 funktioniert in ähnlicher Weise in Bezug auf die einzelnen Schaltungen in der ECU 100.

Die Spannungsversorgungs-Überwachungsschaltung 13 über wacht die Summe der Versorgungsspannungen der Schaltungen in der ECU 100 wodurch ein Fehler oder Zusammenbruch, vor dem Auftreten eines die Sicherheit gefährdenden Zusammen bruchs, von zumindest einer der Schaltungen in der ECU er faßt wird, die von der Spannungsversorgung der Intra-ECU- Spannungsversorgungsschaltung 11 versorgt werden.

Die IC-Überhitzungs-Überwachungsschaltung 14 überwacht die Temperatur des IC-Gehäuses der ECU 100, wodurch eine ungewöhnlich hohe Temperatur erfaßt wird, die den Zusammen bruch eines ein Stellglied ansteuernden ICs, eines IC-Ge häuses, das die Intra-ECU-Spannungsversorgungsschaltung 11 aufweist, oder eines IC-Gehäuses, das die Stromversorgung von der Intra-ECU-Spannungsversorgungsschaltung 11 erhält, anzeigt. Ein IC-Gehäuse beinhaltet die Intra-ECU-Spannungs versorgungsschaltung 11, die Stromversorgungs-Überwachungs schaltung 12, die Fail-Safe-Relais-Ansteuerschaltung 18, die Abnormitäts-Prozeßanforderungs-Signalausgabeschaltung 19, die Watchdog-Impuls-Überwachungsschaltung 21 und die Rücksetzsignalausgabeschaltung 22. Die CPU 24, die Signal eingabeschaltung 27 und die Stellglied-Ansteuerschaltung 25 sind in jeweils einzelnen bzw. gesonderten IC-Gehäusen un tergebracht.

Die Batteriespannungs-Überwachungsschaltung 15 wird zur Überwachung der von der Batterie B als Spannungsversor gungsquelle für das Kraftfahrzeug der ECU 100 zugeführten Spannung verwendet, wodurch eine abnormal hohe oder geringe Spannung erfaßt wird, die eine Fehlfunktion oder einen Zu sammenbruch der Schaltungen in der ECU anzeigt, wodurch die Funktionen der Stromversorgungs-Überwachungsschaltung 12 ergänzt werden. Eine herkömmliche Batteriespannungs-Überwa chungsschaltung, die lediglich zum Schutz des IC-Gehäuses vorgesehen ist, besitzt einen auf ca. 30 Volt eingestellten Erfassungsspannungspegel für eine 12-Volt-Batterie, wodurch ein fehlerhaftes Erfassen von Rauschen innerhalb der Batte riespannung aufgrund von Lastschwankungen oder anderer Rauschquellen vermieden wird. Demgegenüber wurde die erfin dungsgemäße Batteriespannungs-Überwachungsschaltung 15 der art entworfen, daß die Grenzen des Arbeitsspannungsberei ches der Schaltungen sehr genau erfaßt werden können, die für eine 12-Volt-Batterie bei ca. 17 Volt liegen, wobei ei ne Filterschaltung 16 zum Verhindern einer fehlerhaften Er fassung von Spannungsrauschen vorgesehen wird.

Folglich kann eine Abnormität in der ECU bestehend aus einem nichterlaubten Betriebszustand der ECU 100, die zu einem Zusammenbruch oder einer Fehlfunktion der ECU 100 führt, im allgemeinen in indirekter Weise durch diese Über wachungsschaltungen erfaßt werden. Die Abnormitäts-Erfas sungssignaie dieser Überwachungsschaltungen und das von der CPU 24 an die Watchdog-Impuls-Überwachungsschaltung 21 ab gegebene Abnormitäts-Erfassungssignal werden entsprechend der nachfolgenden Tabelle T logisch derart verarbeitet, daß die Fail-Safe-Relais-Ansteuerschaltung 18, die Abnormitäts- Prozeß-Anforderungssignal-Ausgabeschaltung 19, die Span nungsversorgungs-Ausgabesteuerschaltung 20 und die Rück setzsignal-Ausgabeschaltung 22 entsprechend betrieben wer den. Beim Erfassen einer ECU-Abnormität wird das Fail-Safe- Relais 23 aktiviert bzw. betätigt, die Stellglied-Ansteuer schaltung 25 deaktiviert, die CPU 24 angehalten und die In tra-ECU-Spannungsversorgungsschaltung derart abgetrennt, daß das Steuersystem auf die sichere Seite zurückkehrt. Die Abnormitäts-Prozeßanforderungssignal-Ausgabeschaltung 19 verhindert eine Kommunikation zwischen der CPU 24 und den anderen Schaltungen.

Tabelle I

Im Abschnitt "Überwachungs-Erfassungsergebnis" der Ta belle I bezeichnet ein "-" einen beliebigen Zustand ("don′t care"-Bedingung); "normal" bezeichnet ein normales Operati ons-Erfassungsergebnis und "anormal" bezeichnet ein anorma les Operations-Erfassungsergebnis. "AB 1" bezeichnet die Erfassung eines Abnormitätspegels 1 und "AB 2" bezeichnet die Erfassung eines Abnormitätspegels 2 (diese Abnormi tätspegel werden nachfolgend im einzelnen beschrieben). Im Abschnitt "Steuerzustand" bezeichnet "EIN" ein aktives Si gnal und "AUS" ein inaktives Signal.

Für den Fall, daß das Stellglied 26 in einem ABS-System oder einem TRC-System verwendet wird, kann das Fail-Safe- Relais 23 für den Fall deaktiviert sein, daß ein ECU-Fehler vorliegt, so daß der ABS-Steuermodus einfach auf den norma len Bremsmodus umgeschaltet wird. Die erfindungsgemäße ECU 100 wird eher in einem Bremssystem verwendet als in einem Motorsteuersystem, welches nicht leicht aussetzt.

Wie vorherstehend beschrieben kann durch das Vorsehen von zwei oder mehreren Überwachungseinheiten, wie bei spielsweise die Versorgungsstrom-Überwachungsschaltung 12 und die Watchdog-Impuls-Überwachungsschaltung 21, das Steu ersystem zuverlässig auf die sichere Seite bzw. in den si cheren Bereich umschalten, selbst wenn eine der Überwa chungsschaltungen ausfällt.

Die Watchdog-Impuls-Überwachung durch die CPU 24 kann auf der Grundlage von drei Überwachungspegeln der Watchdog- Impuls-Ausgabeschaltung in der CPU 24 und der Watchdog-Im puls-Überwachungsschaltung 21 erfolgen, die einen normalen Pegel, den Abnormitätspegel 1, der die Abnormität der CPU 24 anzeigt, und den Abnormitätspegel 2 aufweisen, der die Abnormität aller Schaltungen außer der CPU 24 gemäß Fig. 3 anzeigt. Insbesondere erzeugt die (nicht dargestellte) Watchdog-Impuls-Ausgabeschaltung während eines bestimmten Prozeßablaufs der CPU 24, d. h. zu Beginn oder zum Ende des Hauptprogramms, ein Watchdog-Impulssignal.

Wenn das Programm normal fortschreitet, werden die Watchdog-Impulssignale in einem konstanten Zeitabstand er zeugt und durch die Watchdog-Impuls-Überwachungsschaltung empfangen. Wenn ein Sprungprogramm auftritt, wird das nach folgende Impulssignal früher erzeugt und empfangen. Watch dog-Impulssignale werden in kürzeren Zeitabständen erzeugt und empfangen, wenn die CPU 24 oder eine andere Schaltung außer Kontrolle gerät. Wenn die Verarbeitung aufgrund eines CPU-Fehlers nicht durch den Programmabschnitt läuft, bei dem das Watchdog-Impulssignal erzeugt wird, werden bei spielsweise keine Watchdog-Impulssignale erzeugt oder emp fangen.

Auf der Grundlage des Zeitintervalls der empfangenen Watchdog-Impulssignale entscheidet die Watchdog-Impuls- Überwachungsschaltung 21 eine Abnormität in mehrfachen Pe geln, wodurch die Abnormität der CPU 24, einer anderen Schaltung als der CPU 24 oder einer Systemkomponente außer halb der ECU 100 erfaßt werden kann. Der Bestimmung einer Fehlfunktion des Spulenventils oder des Motors eines ABS- Systems folgend wird das Watchdog-Impuls-Überwachungsergeb nis von einem normalen Pegel zum Abnormitätspegel 1 ge schaltet. In diesem Fall wird das Rücksetzsignal nicht an die CPU 24 ausgegeben, d. h. der Bremsregelmodus wird vom ABS-Modus auf den normalen Bremsmodus umgestellt. Während die weiteren Operationen der ECU 100 mit ihrer CPU 24 ent sprechend der Tabelle I aktiv gehalten werden. Demzufolge ist die ECU 100 weiterhin betriebsfähig, weshalb zur einfa cheren Wartung der defekte Abschnitt angezeigt werden kann.

Aufgrund der Verwendung von zwei oder mehreren Überwa chungsfunktionen der Versorgungsstrom-Überwachungsschaltung 12 und der Watchdog-Impuls-Überwachungsschaltung 21, die Abnormitäten des Fail-Safe-Relais 23 und des Stellgliedes 26 derart verarbeiten, daß das Regelsystem in einen siche ren Bereich geschaltet wird, erhält man ein zuverlässiges Sicherheitssystem.

Durch den Entwurf der Watchdog-Impuls-Überwachungs schaltung derart, daß die CPU nicht mit Erfassen einer Ab normität bei einem von zwei Pegeln zurückgesetzt wird, kann die CPU für die Schaltung zum Umschalten des Steuersystems in den sicheren Bereich zum Zeitpunkt eines eingeschalteten Zustands eine Selbstdiagnose durchführen, weshalb die Zu verlässigkeit der Schaltung verbessert wird.

Der Watchdog-Impuls kann beispielsweise die in Fig. 2A dargestellte Kurvenform aufweisen, so daß die Bestimmung der Abnormität auf der Grundlage des Tastverhältnisses, d. h. des Verhältnisses zwischen der EIN-Periode vom Impuls beginn bis zu seinem Ende und der AUS-Periode vom Ende bis zum nächsten Impulsbeginn des Kurvensignals, in Abhängig keit von der Überwachungspegel-Karte gemäß Fig. 2B erfolgt.

Die Intra-IC-Spannungsversorgungsschaltung 17 ist eine zweite Spannungsversorgungsschaltung, die sich im IC-Gehäu se der ECU befindet, wobei sie die Versorgungsstrom-Überwa chungsschaltung 12, die Versorgungsspannungs-Überwachungs schaltung 13, die IC-Überhitzungs-Überwachungsschaltung 14 und die Batteriespannungs-Überwachungsschaltung 15 mit Spannung bzw. Strom versorgt. Demzufolge besitzen diese Schaltungen ihre eigene Spannungsversorgung unabhängig von der Intra-ECU-Spannungsversorgungsschaltung 11, weshalb ih re Funktionen erhalten bleiben, selbst wenn eine Abnormität auftritt, bei der die Intra-ECU-Spannungsversorgungsschal tung 11 zu einem Abschalten gezwungen wird.

Auf der Grundlage der vorherstehend beschriebenen Schaltungsanordnung mit seinen zwei oder mehreren Arten des Umschaltens des Steuersystems in einen sicheren Bereich, erfaßt die erfindungsgemäße ECU 100 einen ECU-Fehler sehr genau. Gemäß Fig. 1 sind im Gegensatz zur herkömmlichen Schaltungsanordnung gemäß Fig. 3 mit seiner Watchdog-Im puls-Überwachungsschaltung, Rücksetzsignal-Ausgabeschal tung, Überspannungs-Schutzschaltung, Übestrom-Begrenzer schaltung und Überhitzungs-Schutzschaltung, erfindungsgemäß keine besonderen Schaltungsteile notwendig. Darüber hinaus benötigt die Fail-Safe-Relais-Ansteuerschaltung 18 keine externe Verdrahtung, da sie innerhalb der Intra-ECU-Span nungsversorgungsschaltung 11 integriert ist. Folglich kann die Gesamtoperation von der Erfassung einer ECU-Abnormität bis zum Umschalten des Steuersystems in einen sicheren Be reich vollständig innerhalb dieses IC-Gehäuses implemen tiert werden, weshalb andere IC-Gehäuse wie beispielsweise die CPU 24, die Stellglied-Ansteuerschaltung 25 und die Eingangssignalschaltung 27 keine besondere Überwachungs schaltungen benötigen.

Die vorliegende Erfindung ist nicht auf das vorherste hend beschriebene Ausführungsbeispiel beschränkt sondern ermöglicht verschiedene Modifikationen und Änderungen. Bei spielsweise kann anstelle der im vorherstehend beschriebe nen Ausführungsbeispiel verwendeten Versorgungsstrom-Über wachungsschaltung 12, der Versorgungsspannungs-Überwa chungsschaltung 13 und der IC-Überhitzungs-Überwachungs schaltung 14 lediglich eine oder zwei dieser Schaltungen verwendet werden. Hinsichtlich der Überwachungsschaltungen, die aus der Versorgungsstrom-Überwachungsschaltung 12 und der Watchdog-Impuls-Überwachungsschaltung 21 im vorherste hend beschriebenen Ausführungsbeispiel bestehen, kann die letztere Schaltung 21 eliminiert werden. In diesem Fall er faßt die Versorgungsstrom-Überwachungsschaltung 12 die ECU- Abnormität und aktiviert das Fail-Safe-Relais 23, wodurch das Steuersystem in den sicheren Bereich geschaltet wird.

Anstelle des Aufbaus der Intra-ECU-Spannungsversor gungsschaltung 11 sowie der Fail-Safe-Relais-Ansteuerschal tung 18, der CPU 24 und der Stellglied-Ansteuerschaltung 25 in drei getrennten IC-Gehäusen, können alle Schaltungen der ECU 100 auch in einem einzigen IC-Gehäuse integriert sein. In diesem Fall können die Operationszustände aller Schal tungen, die von der Intra-ECU-Spannungsversorgungsschaltung 11 mit Spannung bzw. Strom versorgt werden auf der Grund lage des Gesamtlaststroms und der Versorgungsspannung leicht überwacht werden.

Darüber hinaus kann das Auftreten einer Abnormität der Batterie B und ein Zusammenbruch oder Kurzschluß der exter nen ECU-Verdrahtung durch die Überwachung des Zustands des Ausgangssignals der Intra-ECU-Spannungsversorgungsschaltung 11 überwacht werden. Beispielsweise kann ein Batteriefehler durch das Erfassen eines verringerten Ausgangsstroms der Intra-ECU-Spannungsversorgungsschaltung 11 an die CPU 24, die Stellglied-Ansteuerschaltung 25 und dergleichen erfaßt werden und das Steuersystem in einen sicheren Bereich ge schaltet werden. Durch die Überwachung des Zustands des Ausgangssignals der Intra-ECU-Spannungsversorgungsschaltung 11 kann die Abnormität der Schaltungen, die von der Span nungsversorgungsschaltung 11 mit Spannung bzw. Strom ver sorgt werden, ein Kurzschluß in der ECU und eine Abnormität der externen Spannungsversorgungsleitungen zur Spannungs versorgungsschaltung 11 erfaßt werden.

Obwohl die vorliegende Erfindung in Verbindung mit dem bevorzugten Ausführungsbeispiel anhand der Zeichnungen be schrieben wurde, sei darauf hingewiesen, daß verschiedene Änderungen und Modifikationen für den Fachmann selbstver ständlich sind. Beispielsweise kann die vorliegende Erfin dung auch auf andere Systeme angewendet werden, wie bei spielsweise ein Kraftfahrzeug-Airbagsystem zusätzlich zum Bremssystem, wobei es auch auf andere Systeme als Kraft fahrzeugsysteme verwendet werden kann.

Eine elektronische Steuerung besitzt eine interne Span nungsversorgungs-Stabilisierungsschaltung, die in einer Steuerung eingebaute Ansteuerschaltungen und eine Fail- Safe-Relais-Ansteuerschaltung mit einer stabilisierten Spannungsversorgung versorgt, eine Überwachungseinheit, die die Operationszustände der Schaltungen in der Steuerung auf der Grundlage des Zustands des Spannungsversorgungs-Aus gangssignals der Spannungsversorgungs-Stabilisierungsschal tung überwacht, und eine Ansteuereinheit, die die Fail- Safe-Relais-Ansteuerschaltung in Abhängigkeit von der Er fassung eines vorbestimmten Ausgangszustands der Spannungs versorgungs-Stabilisierungsschaltung durch die Überwa chungseinheit ansteuert, die das Auftreten einer Abnormität in zumindest einer der Schaltungen anzeigt, die aus den An steuerschaltungen innerhalb der Steuerung besteht.

Claims

1. Elektronische Steuerung mit Fehlerdiagnosefunktion zum Betreiben eines Stellgliedes (26) bestehend aus:
einer Ansteuerschaltung (25) zum Ansteuern des Stell gliedes (26);
einer internen Spannungsversorgungs-Stabilisierungs schaltung (11) zum Stabilisieren der von einer externen Spannungsversorgungsquelle (B) erhaltenen Spannungsversor gung und zum Zuführen der stabilisierten Spannungsversor gung an die Ansteuerschaltung (25);
Überwachungsvorrichtung (12-15) zum Überwachen eines Operationszustandes der Ansteuerschaltung (25) auf der Grundlage eines Zustandes des Spannungsversorgungs-Aus gangssignals der internen Spannungsversorgungs-Stabilisie rungsschaltung (11) und zum Erfassen eines vorbestimmten Operationszustands der Ansteuerschaltung (25); und
einer Bestimmungsvorrichtung (24) zum Bestimmen eines Auftretens eines Abnormität in der Ansteuerschaltung (25) in Abhängigkeit von der Erfassung eines vorbestimmten Ope rationszustandes durch die Überwachungsvorrichtung (12-15).

2. Elektronische Steuerung mit Fehlerdiagnosefunktion nach Patentanspruch 1, wobei
die Steuerung eine Vielzahl von Ansteuerschaltungen (25) aufweist; und
die Überwachungsvorrichtung (12-15) die Operationszu stände der Ansteuerschaltungen (25) auf der Grundlage eines Zustands des Spannungsversorgungs-Ausgangssignals der in ternen Spannungsversorgungs-Stabilisierungsschaltung (11) an die Ansteuerschaltung (25) überwacht.

3. Elektronische Steuerung mit Fehlerdiagnosefunktion zum Betreiben von Stellgliedern (26) eines mit einem Fail- Safe-Mechanismus ausgerüsteten Systems bestehend aus:
einer Vielzahl von Ansteuerschaltungen (24, 25, 27) zum Ansteuern der Stellglieder (25);
einer Fail-Safe-Schaltung (18) zum Umschalten des Sy stems von einem normalen Operationsmodus in einen Sicher heitsmodus;
einer internen Spannungsversorgungs-Stabilisierungs schaltung (11), die den Ansteuerschaltungen (24, 25, 27) eine stabilisierte Spannungsversorgung zuführt;
einer Überwachungsvorrichtung (12-15) zum Überwachen der Operationszustände der Ansteuerschaltungen (24, 25, 27) auf der Grundlage eines Zustandes des Spannungsversorgungs- Ausgangssignals der internen Spannungsversorgungs-Stabili sierungsschaltung (11) und zum Bestimmen eines vorbestimm ten Operationszustands der Ansteuerschaltungen (24, 25, 27); und
einer Vorrichtung (24) zum Ansteuern der Fail-Safe- Schaltung (18) in Abhängigkeit vom Auftreten einer Abnormi tät in zumindest einer der Ansteuerschaltungen (24, 25, 27) in Abhängigkeit von der Erfassung des vorbestimmten Opera tionszustands durch die Überwachungsvorrichtung (12-15).

4. Elektronische Steuerung nach Patentanspruch 3, wobei die Fail-Safe-Schaltung (18) und die interne Spannungsver sorgungs-Stabilisierungsschaltung (11) sich in einem ge meinsamen IC-Gehäuse befinden.

5. Elektronische Steuerung nach einem der Patentansprü che 1 bis 4, wobei die Steuerung ferner einen Sensar (28) zum Erzeugen ei nes Signals aufweist, welches eine verwendete Information zum Ansteuern des Stellgliedes (26) darstellt; und die Ansteuerschaltung (24, 25, 27) aus einer Signalverarbeitungsschaltung (27) zum Verarbeiten des vom Sensor (28) erzeugten Signals,
einer Berechnungsschaltung (24) zum Ausführen einer Berechnung auf der Grundlage des durch die Signalverarbei tungsschaltung (27) verarbeiteten Signals, und
einer Stellglied-Ansteuerschaltung (25) besteht, die das Stellglied (26) in Abhängigkeit vom Ergebnis der Berechnungsschaltung (24) betreibt.

6. Elektronische Steuerung nach Patentanspruch 5, wobei die Signalverarbeitungsschaltung (27), die Berechnungs schaltung (24) und die Stellglied-Ansteuerschaltung (25) jeweils in getrennten IC-Gehäusen liegen.

7. Elektronische Steuerung nach einem der Patenansprü che 1 bis 5, wobei die Fail-Safe-Schaltung (18) und die in terne Spannungsversorgungs-Stabilisierungsschaltung (11) in einem gemeinsamen IC-Gehäuse integriert sind.

8. Elektronische Steuerung nach einem der Patentansprü che 1 bis 7, wobei die Überwachungsvorrichtung (12-15) eine Laststrom-Überwachungsvorrichtung (12) aufweist, die einen gesamten Laststrom der Schaltungen (13, 18, 19, 22, 24, 27) überwacht, die mit der Spannungsversorgung der internen Spannungsversorgungs-Stabilisierungsschaltung (11) versorgt werden.

9. Elektronische Steuerung nach einem der Patentansprü che 1 bis 7, wobei die Überwachungsvorrichtung (12-15) eine Versorgungsstrom-Überwachungsvorrichtung (12) aufweist, die einen gesamten Versorgungsstrom von der internen Spannungs versorgungs-Stabilisierungsschaltung (11) zu den Schaltun gen (13, 18, 19, 22, 24, 27) überwacht, die von der Span nungsversorgungs-Stabilisierungsschaltung (11) mit Strom versorgt werden.

10. Elektronische Steuerung nach einem der Patentan sprüche 1 bis 7, wobei die Überwachungsvorrichtung (12-15) eine Versorgungsspannung-Überwachungsvorrichtung (13) auf weist, die eine Versorgungsspannung von der internen Span nungsversorgungs-Stabilisierungsschaltung (11) für die Schaltungen (13, 18, 19, 22, 24, 27) überwacht, die von der Spannungsversorgungs-Stabilisierungsschaltung (11) mit Spannung versorgt werden.

11. Elektronische Steuerung nach einem der Patentan sprüche 1 bis 7, wobei die interne Spannungsversorgungs-Stabilisierungsschal tung (11) ein integriertes Schaltungselement besitzt, und die Überwachungsvorrichtung (12-15) eine Überhitzungs- Überwachungsvorrichtung (14) zum Überwachen einer Tempera tur, als Spannunsversorgungs-Ausgangssignalzustand des in tegrierten Schaltungselements aufweist.

12. Elektronische Steuerung nach Patentanspruch 6 be stehend als einer Ausgabevorrichtung (24) zum Ausgeben, entsprechend einem Überwachungsergebnis der Überwachungs vorrichtung (12-15), eines Abnormitäts-Prozeß-Anforderungs signals zum Umschalten eines Kommunikationsmodes der IC- Schaltungen derartig, daß das Stellglied (26) in einen Si cherheitsbereich geschaltet wird.

13. Elektronische Steuerung nach Patentanspruch 3, wobei die Berechnungsschaltung (24) aus
einem Zentralprozessor mit einer Ausgabeschaltung, die Mehr-Pegel-Watchdog-Impulse in Abhängigkeit von der Erfas sung einer Abnormität der mehreren Pegel von Vorrichtungen, die das Stellglied (24, 25, 27) beinhalten, liefert; und
einer Watchdog-Impuls-Schaltung (21, 22) besteht zum Empfangen eines Ausgangssignals von der Ausgabeschaltung des Zentralprozessors (24) und zum Betreiben der Ansteuer schaltung (24, 25, 27), wodurch die Fail-Safe-Schaltung (18) in Abhängigkeit von einem Bestimmungsergebnis eines ersten Abnormitätspegels auf der Grundlage eines Ausgangs signals der Ausgabeschaltung aktiviert wird, und zum Rück setzen des Zentralprozessors (24) sowie zum Betreiben der Ansteuerschaltung (24, 25, 27) zum Aktivieren der Fail- Safe-Schaltung (18) in Abhängigkeit von der Bestimmung ei nes zweiten Abnormitätspegels.

14. Elektronische Steuerung nach Patentanspruch 12, wo bei die Berechnungsschaltung (24) aus
einem Zentralprozessor (24) mit einer Ausgabeschaltung, die Mehr-Pegel-Watchdog-Impulse in Abhängigkeit vom Erfas sen einer Abnormität von mehreren Pegeln der Vorrichtungen, die das Stellglied (26) beinhalten, durch den Zentralpro zessor (24) liefert; und
einer Watchdog-Impuls-Schaltung (21, 22) zum Empfangen eines Ausgangssignals der Ausgabeschaltung des Zentralpro zessors (24), zum Betreiben der Ansteuerschaltung (24, 25, 27), wodurch die Fail-Safe-Schaltung (18) aktiviert wird, und zum Betreiben der Abnormitäts-Prozeß-Anforderungssi gnal-Ausgabevorrichtung (24) zum Ausgeben des Abnormitäts- Prozeß-Anforderungssignals in Abhängigkeit von der Bestim mung eines ersten Abnormitätspegels auf der Grundlage eines Ausgangssignals der Ausgabeschaltung, und zum Betreiben der Ansteuerschaltung (24, 25, 27), wodurch die Fail-Safe- Schaltung (18) aktiviert wird, zum Betreiben der Abnormi täts-Prozeß-Anforderungssignal-Ausgabevorrichtung (24) zum Ausgeben des Abnormitäts-Prozeß-Anforderungssignals und zum Rücksetzen des Zentralprozessors (24) in Abhängigkeit von der Bestimmung eines zweiten Abnormitätspegels.

15. Elektronische Steuerung nach einem der Patentan sprüche 13 oder 14, wobei
die Ausgabeschaltung ein vorbestimmtes Signal als Watchdog-Impuls während der Durchführung von zumindest ei nem Teil eines Berechnungsprogramms durch den Zentralpro zessor (24) an die Watchdog-Impuls-Schaltung (21, 22) sen det; und
die Watchdog-Impuls-Schaltung (21, 22) ein Intervall von empfangenen Signalen in mehrere Grade unterteilt, wo durch zumindest der erste Abnormitätspegel und der zweite Abnormitätspegel unterscheidbar werden.

16. Elektronische Steuerung nach einem der Patentan sprüche 1 bis 15, wobei
das Stellglied (26) eine Bremssteuerung eines Kraft fahrzeugbremssystems zum Implementieren der Bremssteuerung in einem geregelten Bremsmodus im Ansprechen auf die Bewe gung von zumindest einem Körper eines Kraftfahrzeugs be sitzt, in dem sich die Steuerung befindet und von den Rä dern des Kraftfahrzeugs anstelle eines normalen Bremsmodus;
die elektronische Steuerung die Bremssteuerung be treibt; und
die Fail-Safe-Schaltung (18) das Bremssystem von einem geregelten Bremsmodus in den normalen Bremsmodus in Abhän gigkeit von der Aktivierung der Fail-Safe-Schaltung (18) umschaltet.

17. Kraftfahrzeugsystem mit einer elektronischen Steue rung, die eine Fehlerdiagnosefunktion aufweist, zum Betrei ben von Stellgliedern (26), einer Fail-Safe-Schaltung (18) zum Aktivieren der Stellglieder (26), wodurch das Kraft fahrzeugsystem von einem normalen Operationsmodus in einen Sicherheitsmodus im Ansprechen auf das Auftreten einer Abnormität in zumindest einem Teil des Kraftfahrzeugsystems umschaltet, und einer externen Spannungsversorgungsquelle (B) zum Zuführen der Spannungsversorgung an die elektroni sche Steuerung, wobei die elektronische Steuerung aus:
einer Vielzahl von Ansteuerschaltungen (24, 25, 27) zum Ansteuern der Stellglieder (26);
einer internen Spannungsversorgungs-Stabilisierungs schaltung (11) zum Stabilisieren der von der externen Span nungsversorgungsquelle (B) empfangenen Spannung und zum Zu führen der stabilisierten Spannungsversorgung an die An steuerschaltungen (23, 25, 27);
einer Überwachungsvorrichtung (12-15) zum Überwachen von Operationszuständen der Ansteuerschaltungen (24, 25, 27) auf der Grundlage eines Zustands des Spannungsversor gungsausgangssignals der internen Spannungsversorgung-Sta bilisierungsschaltung (11) und zum Erfassen einer vorbe stimmten Operationsbedingung der Ansteuerschaltungen (24, 25, 27); und
einer Fail-Safe-Ansteuerschaltung (22) besteht zum An steuern der Fail-Safe-Schaltung (18) in Abhängigkeit von der Erfassung des vorbestimmten Operationszustandes der Spannungsversorgungs-Stabilisierungsschaltung (11) durch die Überwachungsschaltung (12-15), wobei der vorbestimmte Operationszustand der Spannungsversorgungs-Stabilisierungs schaltung (11) das Auftreten einer Abnormität in zumindest einer der Ansteuerschaltungen (24, 25, 27) anzeigt.

18. Elektronische Steuerung mit Fehlerdiagnosefunktion bestehend aus:
einem Zentralprozessor (24) mit einer Ausgabeschaltung zum Erzeugen eines vorbestimmten Signals als einen Watch dog-Impuls, der einen Abnormitätspegel eines zur elektroni schen Steuerung externen Geräts während der Durchführung von zumindest einem Teil des Berechnungsprogramms durch den Zentralprozessor (24) anzeigt;
einer Watchdog-Impuls-Schaltung (21, 22) zum Empfangen des vorbestimmten Signals der Ausgabeschaltung, zum Unter teilen eines Intervalls des Empfangssignals in mehrere Stu fen; und
einer Ansteuervorrichtung (18) zum Ansteuern der Fail- Safe-Schaltung (23);
wobei die Watchdog-Impuls-Schaltung (21, 22) die An steuervorrichtung (18) in Abhängigkeit von der Bestimmung eines ersten Abnormitätspegels auf der Grundlage des emp fangenen Intervalls ansteuert und den Zentralprozessor (24) zurücksetzt sowie die Ansteuervorrichtung (18) betreibt, wodurch die Fail-Safe-Schaltung (23) in Abhängigkeit von der Bestimmung eines zweiten Abnormitätspegels auf der Grundlage des empfangenen Intervalls angesteuert wird.